L'attaccante alla base della massiccia violazione della sicurezza di Bitget ha iniziato a spostare i fondi rubati tramite Binance, prelevando 1,23 milioni di dollari dall'exchange e indirizzandoli verso un wallet collegato all'attacco. La transazione segna una nuova fase in quella che è diventata una delle più grandi rapine cripto del 2026, mentre gli investigatori si affrettano a tracciare gli asset attraverso più reti blockchain.

La violazione originale è stata rilevata il 24 settembre alle 18:31 UTC e ha comportato trasferimenti non autorizzati per un totale di fino a 387,5 milioni di dollari dagli hot e warm wallet di Bitget.

Come si muovono i fondi

Il 25 settembre, appena un giorno dopo il furto iniziale, l'analisi on-chain ha rivelato cinque prelievi separati dagli hot wallet di Binance, tra cui circa 88,35 ETH, 89,36 ETH, 79,93 ETH e circa 545.000 dollari in USDT. Entro il 26 settembre, un totale di 457,9 ETH era stato inoltrato a un wallet presumibilmente sotto il controllo dell'attaccante.

L'ultimo prelievo di 1,23 milioni di dollari segue lo stesso schema: prelevare fondi da un grande exchange e poi consolidarli in un wallet fuori dalla portata delle capacità di congelamento di ogni singola piattaforma. Questo schema è rilevante per il recupero dei fondi, perché gli exchange centralizzati sono tipicamente il punto in cui i fondi rubati sono più esposti all'intervento, poiché i team di compliance possono segnalare egelare i depositi sospetti, mentre gli asset spostati in auto-custodia su più reti diventano molto più difficili da intercettare.

Le società di analisi blockchain, tra cui Bit, hanno tracciato i fondi rubati in flusso attraverso Ethereum, BNB Chain e TRON — una dispersione che obbliga gli investigatori a coordinarsi su reti separate con strumenti diversi. Bitget e Binance hanno confermato di collaborare alla tracciatura dei fondi rubati. Anche le forze dell'ordine sono state informate, e le aziende di cybersecurity Mandiant e SlowMist stanno entrambe assistendo nelle indagini, un ampio coinvolgimento esterno che riflette la portata del caso.

Dentro la violazione

L'attacco in sé è stato insolitamente sofisticato. Anziché rubare le chiavi private o violare il cold storage, l'attaccante ha compromesso il sistema backend di Bitget in modo da falsificare i dati delle transazioni, ingannando il sistema affinché autorizzasse trasferimenti che sembravano legittimi internamente, ma che in realtà instradavano i fondi verso l'attaccante.

Le stime iniziali delle perdite indicavano un danno di 351,6 milioni di dollari, cifra successivamente rivista al rialzo a 387,5 milioni di dollari man mano che gli investigatori identificavano ulteriori trasferimenti non autorizzati. Bitget ha sospeso i prelievi poco dopo il rilevamento della violazione e si è impegnata a coprire le perdite dei clienti tramite il suo User Protection Fund, che detiene oltre 464 milioni di dollari — una riserva superiore al totale delle perdite rivisto.

Speculazioni sulla Corea del Nord e ricadute sul settore

I pattern di indirizzi IP identificati durante le indagini hanno spinto alcuni analisti a speculare che dietro la violazione possano esserci attori collegati alla Corea del Nord. Questa attribuzione non è stata confermata dalle autorità, ma si adatterebbe a uno schema ben documentato. I gruppi di hacker nordcoreani, in particolare il Lazarus Group, sono stati collegati a furti di criptovalute per miliardi di dollari negli ultimi anni, spesso utilizzando tecniche di riciclaggio multi-chain altrettanto sofisticate. Il precedente più vicino per entità è il furto di circa 1,5 miliardi di doll da Bybit a febbraio 2025, attribuito dagli investigatori a hacker collegati alla Corea del Nord. Se le autorità confermeranno o escluderanno l'attribuzione, e se ulteriori fondi potranno essere intercettati presso piattaforme centralizzate prima che raggiungano l'auto-custodia, sono le domande aperte più destinate a delineare il caso nei prossimi giorni.